Politique de confidentialité

Qui est responsable de quoi

Deux situations se distinguent, et elles n'emportent pas les mêmes obligations.

Vos données d'utilisateur — identité, coordonnées professionnelles, compte, abonnement, facturation, journaux techniques : LeadExtreme en est le responsable de traitement. C'est nous qui décidons pourquoi et comment elles sont traitées.

Les données des prospects — les personnes que vous recherchez, importez, enrichissez ou contactez : elles ne sont pas nos utilisatrices, et nous ne les traitons que pour vous. Vous, ou l'organisation à laquelle vous appartenez, en êtes le responsable de traitement ; LeadExtreme agit comme sous-traitant, sur vos instructions, et ne s'en sert pas pour son propre compte.

UbiMap, qui exécute les traitements et héberge les sessions des comptes connectés, est la plateforme technique de LeadExtreme, éditée par la même société : c'est notre propre outil, pas un sous-traitant distinct. Les prestataires auxquels elle fait appel sont donc les nôtres, et nous les énumérons plus bas.

Les données des personnes prospectées

Pour votre compte, le Service traite sur ces personnes :

• identité et parcours professionnels : nom, prénom, intitulé de poste, société, secteur, zone géographique, adresse du profil LinkedIn et informations publiques qui y figurent ;
• coordonnées professionnelles obtenues par enrichissement : adresse e-mail et numéro de téléphone professionnels ;
• historique des échanges : invitations, messages envoyés et reçus, dates, statut de la séquence, réponses ;
• données que vous importez vous-même (fichiers de prospects) ou que vous synchronisez avec votre CRM.

D'où viennent ces données, et à quel titre

Elles proviennent de sources accessibles en ligne, des fournisseurs de coordonnées interrogés à votre demande, de vos propres fichiers et de vos échanges avec les personnes concernées.

La base légale de ce traitement est celle que vous retenez, en votre qualité de responsable : en prospection entre professionnels, c'est le plus souvent l'intérêt légitime. Il vous appartient de l'établir, de la documenter et de vérifier qu'elle tient pour vos cibles et pour les canaux que vous employez.

Ce que vous devez faire de votre côté

Parce que vous êtes responsable du traitement des données de vos prospects, il vous revient de :

• informer les personnes prospectées, au plus tard lors du premier contact, de l'identité de votre organisation, de la finalité poursuivie, de la source des données et de leurs droits ;
• ne contacter que des personnes que vous avez le droit de démarcher, et respecter les règles propres à la prospection par e-mail et par téléphone ;
• traiter sans délai les demandes d'accès, de rectification, d'effacement et d'opposition qui vous parviennent — la suppression d'un prospect depuis le Service est immédiate ;
• tenir votre registre des traitements et, lorsqu'elle est requise, votre analyse d'impact ;
• ne pas importer ni traiter de données sensibles (santé, opinions, convictions, orientation) dans le Service : il n'est pas conçu pour elles.

Les moyens que nous mettons à votre disposition

Le Service vous permet d'exporter, de corriger, de supprimer un prospect et d'exclure durablement une personne de vos campagnes. Ces gestes sont à votre main : nous ne pouvons pas exercer ces droits à votre place, et nous ne le faisons pas sans votre instruction.

Les prestataires qui interviennent

Le Service fait appel aux prestataires suivants, chacun pour une tâche précise. Cette liste vaut liste des sous-traitants au sens du règlement général sur la protection des données. Certains sont appelés par l'application LeadExtreme, d'autres par UbiMap, notre plateforme technique : tous le sont pour notre compte, et nous en répondons.

• UbiMap (LeadExtreme — France) n'est pas un prestataire : c'est notre plateforme technique, éditée par la même société. Elle exécute les traitements, héberge les sessions des comptes connectés et assure les files d'attente, la recherche de prospects, l'enrichissement des coordonnées, la rédaction assistée et la connexion aux CRM et aux messageries, en s'appuyant sur les prestataires ci-dessous.
• IKOULA NET (France) — hébergement des serveurs et des bases de données de LeadExtreme et de sa plateforme UbiMap.
• Stripe (Stripe Payments Europe, Limited — Irlande, Dublin) — paiement des abonnements et facturation, appelé directement par LeadExtreme ; des transferts vers Stripe, Inc., aux États-Unis, sont possibles.
• Google (Gmail) — relais d'envoi des e-mails transactionnels que LeadExtreme vous adresse : vérification d'adresse, réinitialisation de mot de passe, alertes.
• Bright Data (Luminati) (Bright Data Ltd — Israël, Netanya) — adresses IP dédiées de centre de données, par lesquelles la plateforme fait sortir les sessions des comptes connectés, dans le pays que vous avez choisi. Israël fait l'objet d'une décision d'adéquation de la Commission européenne.
• Anthropic (Anthropic, PBC — États-Unis, San Francisco) — l'intelligence artificielle du Service, appelée par la plateforme : rédaction assistée des messages et des modèles de séquence, agent de prospection en bêta, et les fonctions décrites à la section Ce que l'intelligence artificielle lit pour vous, dont certaines s'appuient sur la recherche web d'Anthropic.
• Dropcontact, Enrow, Hunter, Lusha, Kaspr — recherche de coordonnées professionnelles, interrogés à votre demande. Vous pouvez apporter votre propre clé chez ces fournisseurs.
• HubSpot, Salesforce, Pipedrive, Sellsy, AgileCRM, Google et Microsoft — seulement si vous connectez vous-même le CRM ou la messagerie correspondante.
• LinkedIn n'est pas notre sous-traitant : c'est un tiers, dont vous utilisez le compte, et qui traite les données pour son propre compte, selon ses propres règles.
• Les transferts vers Israël reposent sur la décision d'adéquation adoptée par la Commission européenne pour ce pays. Pour les transferts vers un pays qui n'en bénéficie pas, les États-Unis au premier chef, le cadre prévu est celui des clauses contractuelles types de la Commission européenne. Le détail des garanties applicables à un prestataire donné peut être demandé à hello@leadextreme.ai.

Ce que l'intelligence artificielle lit pour vous

Certaines fonctions du Service confient la lecture ou la rédaction d'un texte à un modèle d'intelligence artificielle d'Anthropic, que notre plateforme UbiMap appelle. Voici, fonction par fonction, ce qui lui est transmis. Les fonctions marquées « bêta » ne sont ouvertes qu'aux organisations qui participent à la bêta.

• « Votre cible », dans le guide de démarrage (bêta) : le texte des pages publiques de votre site — l'accueil et quelques pages —, pour en tirer votre offre, vos cibles et les références que vous citez ; puis les intitulés de poste de vos relations LinkedIn et leur nombre, pour proposer les métiers à viser. Ni le nom ni le profil de vos relations ne lui sont transmis.
• « Votre marché » (bêta) : le nom, le site et le pays de votre société, et le résumé de votre offre — ou la phrase que vous écrivez pour la décrire —, pour chercher sur le web vos concurrents probables. La plateforme lit aussi la page LinkedIn publique de votre société et celles que LinkedIn présente comme similaires : des pages d'entreprise, jamais des profils de personnes.
• L'étude de marché (bêta, à l'abonnement ou à la demande) : votre message pour personnaliser l'étude, avec ce que LeadExtreme sait de votre empreinte (votre offre, vos cibles, vos concurrents) ; puis, pour chaque concurrent, les pages publiques de son site, que la plateforme lit en respectant ses règles d'accès (robots.txt) et son opposition à la fouille de textes et de données, des résultats de recherche web et sa page LinkedIn d'entreprise publique, dont la description peut servir de secours quand le site ne se lit pas. L'étude décrit des sociétés et leurs offres ; une courte citation d'une page publique peut toutefois nommer une personne, par exemple un dirigeant ou l'auteur d'un témoignage. Pour ces citations, LeadExtreme est responsable de traitement, sur la base de son intérêt légitime à fournir une étude sourcée : elles ne servent qu'à prouver ce que dit l'étude, jamais à prospecter, et la personne nommée peut en demander le retrait à hello@leadextreme.ai. La fiche d'une société, faite de pages publiques, est gardée jusqu'à quatre-vingt-dix jours par la plateforme UbiMap, sans lien avec votre compte, et peut servir à l'étude d'un autre client ; votre message, vos choix et votre rapport ne servent qu'à vous.
• Les publications et les commentaires (bêta) : votre ligne éditoriale, vos idées et vos consignes ; pour un commentaire, le texte de la publication commentée. Rien n'est publié sans votre validation.
• Les messages, les modèles de séquence et l'agent de prospection (l'agent en bêta) : vos consignes et les informations utiles sur le prospect concerné (identité professionnelle, société, échanges), pour rédiger ou proposer un message.

Combien de temps les données sont conservées

• données de compte et de prospection : pendant toute la vie du compte ;
• après une demande de suppression de compte : l'accès est coupé immédiatement, puis les données sont effacées à l'issue d'un délai de grâce de sept jours, pendant lequel la demande peut être annulée ;
• prospects, listes, empreintes et campagnes appartenant à une organisation : transmis à l'organisation lorsqu'un de ses membres s'en va ; effacés lorsqu'il ne reste plus aucun membre actif ;
• identifiants de facturation et journal de consommation : conservés, débarrassés de ce qui désigne une personne, pendant la durée légale de conservation des pièces comptables ;
• étude de marché : tant que votre organisation existe, effacée avec elle ; la fiche commune d'une société, quatre-vingt-dix jours au plus ;
• journal des crédits et des paiements, qui permet à notre support de savoir qui a consommé quoi : quarante-huit mois ; il garde l'adresse de celui qui a consommé, même après son départ, et s'efface avec l'organisation ;
• réponses déjà obtenues de nos fournisseurs (recherches, coordonnées, données d'entreprises), gardées pour ne pas les redemander : de sept à cent quatre-vingts jours selon leur nature ;
• suivi de chaque compte et de chaque client, qui permet à notre support de répondre à vos questions sur ce qui s'est passé : douze mois au plus, sans copie de sauvegarde ; il s'efface avec le compte ;
• journaux techniques et de sécurité : aucune adresse IP n'est conservée pour une simple visite du site ou de l'application ; l'adresse d'une connexion à votre compte reste avec votre session, trente jours au plus ; les autres journaux de l'application s'effacent à chaque mise à jour du service, et au plus tard quand ils atteignent leur taille limite ; l'adresse d'une connexion refusée par le pare-feu du serveur est conservée cinq semaines au plus, et une visite normale n'en laisse pas.

Votre compte LinkedIn connecté

Pour agir en votre nom, la plateforme conserve ce qui permet de tenir la session du compte connecté : jetons de session, cookies, empreinte de navigateur et proxy affecté au compte. Ces éléments restent sur la plateforme et ne sont pas recopiés dans l'application LeadExtreme, qui n'en détient qu'une référence.

Vous choisissez le pays du proxy à la création du compte connecté, et le nombre de changements est limité. Vous pouvez déconnecter un compte à tout moment : la session prend alors fin.

Vos droits, et ceux des personnes prospectées

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos propres données. Écrivez-nous à hello@leadextreme.ai ; nous répondons dans un délai d'un mois.

Une personne prospectée qui nous écrit directement n'est pas notre cliente : nous transmettons sa demande à l'utilisateur responsable du traitement et nous l'en informons. C'est auprès de cet utilisateur que la demande produit ses effets.

Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).

Aucun délégué à la protection des données n'a été désigné. Le point de contact chargé de ces demandes est hello@leadextreme.ai.

Sécurité

Les échanges avec le Service sont chiffrés en transit. Les accès sont authentifiés et journalisés, les clés des fournisseurs que vous apportez sont stockées chiffrées, et les données sont hébergées en France. Aucune mesure ne rend un système inviolable : en cas de violation vous concernant, nous vous en informerons sans délai.